予備機・BCP端末は余った端末ではなく復旧能力そのものである

予備機を「故障したら使う古い端末」、BCP端末を「倉庫に置く非常用品」と考えると、必要な瞬間に起動しない。OSが更新切れ、電池が空、回線が未開通、認証できない、担当者が鍵を持っていない、といった事態が起こる。予備機・BCP端末の目的は在庫を持つことではなく、重要業務を定めた時間内に安全に再開することである。

要件は台数や機種から始めず、何が止まり、いつまでに、何人が、どこで、どの情報を扱える状態へ戻る必要があるかから作る。平時の一台故障、拠点停電、通信障害、感染症、サイバー攻撃、広域災害では必要な構成が異なる。本稿では総務、情シス、事業部、セキュリティ、購買が共有できる要件定義へ落とし込む。

平時予備とBCP代替を分けて定義する

同じ「予備機」でも目的を混ぜない。平時予備は個別故障・紛失・入社対応を短時間で補う。BCP代替は拠点やシステムが広く使えない状況で、優先業務を限定して再開する。検証機はOS・アプリ更新を事前確認し、貸出機は短期出張や研修に使う。それぞれ状態、保管、回線、データ、更新頻度が違う。

用途区分

  • •即時交換用：個別故障・紛失から数時間以内に復旧
  • •入退社調整用：採用・異動の納期差を吸収
  • •更新検証用：OS、アプリ、MDMの変更を先行確認
  • •短期貸出用：出張、研修、イベント、臨時要員
  • •拠点BCP用：建物・電源・通信の停止時に別拠点で利用
  • •広域BCP用：複数拠点が被災した際に遠隔・分散利用
  • •サイバー復旧用：通常環境を信用できない場合のクリーン端末

一台を複数用途に数えない。検証中の端末や貸出中の端末は、同時刻にBCP在庫として使えない。台帳では用途ごとの最低確保数と、現在利用可能数を分ける。

重要業務と復旧目標を先に確定する

内閣府は事業継続を、重要業務を中断させず、または可能な限り短期間で再開する経営上の課題として説明している。まず事業継続の基本情報を事業部と確認し、端末だけの計画にしない。

業務ごとに次を記録する。

  • •重要業務名、責任者、代行者
  • •停止による顧客・法令・資金・安全への影響
  • •目標復旧時間（RTO）と許容停止時間
  • •復旧時に必要な最低人数・同時利用席数
  • •必須システム、アプリ、情報、認証、周辺機器
  • •必要な音声・データ回線と通信量
  • •通常拠点が使えない場合の作業場所
  • •紙、電話、代理処理など端末以外の代替手段
  • •平常状態へ戻す条件とデータの突合方法

「全社員が通常どおり働く」を初動目標にすると台数も通信も膨らむ。最初の二時間、当日、三日、二週間の段階ごとに、再開する業務と席数を決める。

想定事象を原因ではなく失う機能で整理する

地震、台風、ランサムウェアという原因だけで作ると、想定外の事故へ応用しにくい。端末利用に必要な機能の喪失へ分解する。

  • •端末単体を失う：故障、紛失、盗難
  • •拠点を失う：立入禁止、停電、浸水、火災
  • •回線を失う：通信会社、社内ネットワーク、DNS、VPNの障害
  • •電源を失う：商用電源、充電設備、燃料不足
  • •IDを失う：認証基盤、MFA、証明書、管理者アカウントの停止
  • •管理基盤を失う：MDM、アプリ配布、端末登録が利用不能
  • •通常端末を信用できない：マルウェア、設定改ざん、認証窃取
  • •人員を失う：担当者不在、交通遮断、感染症
  • •物流を失う：代替機・SIM・充電器を配送できない

一つの事象で複数機能が同時に失われる。BCP端末があっても認証基盤や業務システムが止まれば作業できないため、依存関係を図にし、端末以外の復旧計画と整合させる。

復旧席を構成する要素を漏れなく定義する

BCPで必要なのは端末台数ではなく「利用可能な復旧席」である。復旧席は、動作する端末、電源、回線、利用者、認証、アプリ、データ、作業場所、支援手順がそろって成立する。

復旧席の合格条件

  • •対応OSとセキュリティ更新を満たす端末
  • •MDM登録、暗号化、ロック、遠隔制御が有効
  • •主回線と障害分散された代替回線
  • •必須アプリ、VPN、証明書、ブックマーク
  • •利用者を安全に確認し発行できる認証手段
  • •オフラインでも読める連絡先と起動手順
  • •充電器、モバイル電源、イヤホン等の周辺機器
  • •持出し・利用・返却を記録できる台帳
  • •利用終了後の同期、消去、正常化手順

端末が起動しただけでは合格にしない。代表利用者が非常時の権限で重要業務を完了できることを試験する。

必要台数は同時障害と補充時間から計算する

一律10%の予備率は分かりやすいが、根拠にならない。平時予備は故障・紛失率、平均交換時間、調達リードタイム、繁忙期の同時発生から計算する。BCP用は優先業務の最低席数、被災範囲、交代要員、配送不能期間から決める。

`最低予備数 = 想定同時交換台数 + 交換中に新たに発生する需要 + 入退社変動 + 安全余裕`

`BCP必要数 = 段階別の最低業務席数 + 指揮・連絡席 + 支援・検証席 + 故障余裕 - 安全に共用できる常用端末`

計算には、端末だけでなく回線契約、充電器、認証器を同じ数量単位で入れる。100台の端末に20回線しかなければ、通信を必要とする復旧席は20席である。

配置は災害範囲とアクセス可能性で分散する

全予備機を本社サーバールームへ置くと、本社へ入れない事象で同時に失う。主要拠点、遠隔倉庫、委託先、責任者宅など候補を比較し、同一の洪水、停電、交通、通信に巻き込まれにくくする。

  • •想定災害区域と建物の安全性
  • •24時間の入退室可否と鍵の代行者
  • •温度、湿度、防火、防水、盗難対策
  • •電源、発電、充電設備の持続時間
  • •複数通信網の電波・固定回線
  • •利用場所までの徒歩・車・配送時間
  • •棚卸しと遠隔状態確認のしやすさ
  • •端末・SIM・認証器を一括で失う集中リスク

秘密の保管場所にしすぎて、担当者しか入れない状態も避ける。正副の責任者、緊急入室手順、取り出し記録を整える。

回線は端末台数と同じ粒度で冗長化する

デュアルSIMでも同じ通信会社の同じ設備に依存していれば、広域障害時に同時停止する可能性がある。主回線、別通信網の副回線、固定回線、Wi-Fi、衛星通信などを業務と地域に応じて組み合わせる。

  • •音声、SMS、データのどれが必須か
  • •同時接続席数と一席当たり通信量
  • •回線の開通状態、休止・再開に要する時間
  • •eSIM再発行に必要な管理画面と認証
  • •テザリングの同時台数と電池消費
  • •通信障害時の切替手順と利用者教育
  • •速度制限・容量超過時に維持する業務
  • •緊急通報や顧客番号通知の扱い

平時に少量通信させ、契約失効や設定不良を検出する。災害当日に初めてSIMを挿す設計は、開通、PIN、APN、更新でつまずきやすい。

電源・充電を業務時間から逆算する

モバイル端末は充電済みでも、会議、VPN、テザリング、高輝度画面で急速に消費する。必要な稼働時間を業務シナリオで測り、端末電池、モバイル電源、車載充電、発電機、交換電池の組合せを決める。

`必要電力量 = 一席一時間の実測消費 × 同時席数 × 必要時間 × 変換損失・劣化を含む安全係数`

容量表記だけでなく、対応出力、端子、ケーブル、充電同時数を確認する。モバイル電源も自己放電・劣化するため、点検日、残量、交換期限を台帳に持つ。浸水・膨張・異常発熱品の隔離手順も用意する。

認証復旧を本人の通常端末へ依存させない

予備機へ切り替える際、多要素認証が故障した通常端末にしか届かない、管理者の認証器が被災拠点にある、という停止が起こる。認証を弱めずに復旧する経路を作る。

  • •本人確認に使う登録情報と複数の確認者
  • •予備認証器、回復コード、パスキーの保管
  • •緊急アカウントの利用条件と承認者
  • •MDM・ID基盤停止時の代替発行手順
  • •証明書再発行・失効の順序
  • •一時権限の有効期限と利用ログ
  • •通常化後の資格情報交換と緊急権限回収

回復コードを端末ケースへ入れる、共通パスワードを紙で配るといった方法は避ける。保管場所と承認経路を分散し、単独の担当者や一拠点へ依存しない。

サイバー攻撃用クリーン端末を別系統で考える

自然災害用の端末が平時のMDMや認証基盤へ常時接続していると、その基盤が侵害された際に同時に信用できなくなる。サイバー復旧用には、既知の安全な初期イメージ、別管理経路、限定アプリ、隔離通信、証拠保全を設計する。

IPAはインシデントに備えた事業継続・復旧体制として、影響に応じた復旧目標、手順、体制、実践的演習を挙げている。クリーン端末も保有台数ではなく、侵害範囲を判断した後に安全な連絡・調査・承認を開始できるかで評価する。

平時ネットワークへ不用意に接続せず、更新時には信頼できる経路と検証手順を使う。誰が封印を開け、どの状況で利用し、利用後にどう再構築するかを承認付きで定める。

私物端末を無計画な最後の手段にしない

会社支給端末が使えないと、従業員が私物スマートフォンで業務を始める可能性がある。禁止だけでは現場の迂回を止められない。許可するか、どの情報・業務に限定するか、会社が施す安全措置、終了後のデータ消去を事前に決める。

私物利用を認めない場合は、必要数の支給端末、電話連絡、紙手順など現実的な代替を用意する。限定利用を認める場合は、セキュアブラウザ、端末内保存禁止、遠隔失効、本人同意、利用期限、問い合わせ先を整える。平時の利便性を理由にBCP例外を恒久化しない。

初期データとオフライン情報を最小化する

予備機へ大量の顧客・従業員情報を常時保存すると、盗難時の影響が増える。待機端末は管理登録済みでも業務データを持たない状態を基本とし、発動後に本人確認して必要な情報だけを取得する。

一方、認証基盤やネットワークが止まった直後に必要な緊急連絡先、起動手順、拠点案内はオフラインでも読める必要がある。情報を機密度で分け、暗号化、更新担当、版、失効日を決める。古い連絡網はBCPを妨げるため、四半期ごとに実在確認する。

調達形態を補充速度と保管負担で選ぶ

購入は即時利用しやすいが、保管・更新・売却を自社が担う。レンタルは台数増減や交換を委託できるが、大規模災害時に他社需要と競合し、配送が止まる可能性がある。調達予約や優先供給契約も、在庫場所、最大供給数、到着時間を確認する。

  • •平時の即時交換数は自社保有する
  • •広域災害の追加需要は複数事業者へ分散する
  • •検証済み機種を追加調達できる期間を確認する
  • •代替機もMDM登録・更新要件を満たす契約にする
  • •配送不能時の受取拠点・引取方法を決める
  • •返却、消去、破損、延長料金を事前合意する

在庫を持たない契約は安く見えるが、災害時の同時需要を誰が負担するかを確認しなければならない。

予算は保有台数ではなく復旧席時間で比較する

費用には、本体、回線、管理、保管、点検、電池・付属品、訓練、交換、物流、消去、売却を含める。待機中に使わないから無料ではなく、利用可能性を維持する点検作業が必要である。

`年間BCP端末費 = 取得・利用料 + 回線 + MDM・アプリ + 保管 + 点検・訓練 + 交換・物流 - 売却回収額`

`復旧席時間単価 = 年間BCP端末費 ÷ 演習で確認できた利用可能席数 ÷ 目標維持時間`

価格を確認するときは、型番、容量、状態、更新期限、保証、付属品をそろえ、[販売相場を調べる](/market-search)を利用する。表示価格を調達確約や災害時価格とはみなさず、供給条件と補充リードタイムを別に見積もる。

発動・貸出・返却の責任を明確にする

誰がBCPを発動し、誰が保管庫を開け、誰へ何台渡すかを決める。平時のIT責任者が不在でも動くよう、正副担当と権限移譲を用意する。

  1. 事象と失われた機能を確認する
  2. 業務責任者が復旧段階と必要席数を決める
  3. セキュリティ担当が利用可能な環境を判定する
  4. 資産担当が端末・回線・付属品を払い出す
  5. ID担当が本人確認と一時認証を行う
  6. 利用者が重要業務の完了を確認する
  7. 復旧後にデータ同期・差分確認を行う
  8. 端末を回収、消去、点検し待機状態へ戻す

貸出台帳には端末ID、利用者、目的、場所、時刻、回線、返却予定を記録する。口頭で持ち出し、後で記入する運用は混乱時ほど失敗する。

演習は電源を入れるだけで終わらせない

四半期または半期ごとに、異なる想定で復旧演習を行う。事前通知した起動確認だけでなく、担当者不在、通常回線停止、認証基盤停止、配送不能を組み合わせる。

  • •指示から保管庫開錠までの時間
  • •必要台数の取り出し・配布時間
  • •回線接続と本人認証の成功率
  • •必須業務を完了した席数
  • •電池残量と電源持続時間
  • •手順書を見ずに発生した問い合わせ
  • •端末・SIM・付属品の所在差異
  • •回収・同期・消去・再格納の完了時間

演習で見つかった問題は「本番では注意する」で閉じず、要件、配置、数量、手順、契約を修正する。目標復旧時間を超えた原因を、端末、回線、認証、人、物流へ分解する。

要件定義書を判定可能な文章にする

「十分な予備」「災害時に利用可能」では検収できない。次のように数値と条件を書く。

  • •本社一拠点が72時間利用不能でも、顧客連絡20席を四時間以内に再開する
  • •管理済み端末30台を三拠点へ分散し、各拠点で毎月起動確認する
  • •主回線停止時に別通信網へ15分以内に切り替える
  • •認証基盤停止時も、承認済み10名が限定業務へ60分以内に入る
  • •待機端末は最新更新から30日以内、MDM最終同期7日以内を維持する
  • •発動終了後24時間以内に全端末を回収し、差分同期と消去を確認する

要件ごとに責任者、測定方法、合格証拠、例外承認、見直し日を付ける。端末調達の仕様書と会社BCPの復旧目標が同じ数字を使っているか確認する。

実務チェックリスト

  • •平時予備、検証、貸出、BCP、クリーン端末を分けたか
  • •一台を複数用途の確保数へ重複計上していないか
  • •優先業務と段階別のRTO・最低席数を決めたか
  • •原因ではなく失う機能で想定を整理したか
  • •端末、回線、認証、電源がそろう復旧席で数えたか
  • •同時故障と補充時間から必要数を計算したか
  • •端末と同数のSIM・認証器・充電器があるか
  • •同一災害で失わない場所へ在庫を分散したか
  • •保管庫へ正副担当者がアクセスできるか
  • •主回線と代替回線の障害系統を分散したか
  • •電源容量を実測消費と必要時間から計算したか
  • •通常端末なしで認証を復旧できるか
  • •サイバー復旧用端末を別の信頼経路で管理したか
  • •私物端末を使う条件と禁止範囲を決めたか
  • •待機端末の保存データを最小化したか
  • •オフライン連絡先の版と更新者が明確か
  • •災害時の供給数・物流を契約で確認したか
  • •費用に保管、点検、訓練、消去を含めたか
  • •発動・払出し・本人確認・返却の責任者がいるか
  • •通常回線・担当者不在を含む演習を実施したか
  • •演習結果から数量と手順を更新したか

良いBCP端末要件は「使えるはず」を「使えた」に変える

予備機・BCP端末の価値は、棚にある台数では証明できない。重要業務、復旧時間、最低席数を決め、端末、電源、回線、認証、アプリ、利用者を一つの復旧席として試験する必要がある。平時予備と広域BCP、サイバー復旧を分ければ、それぞれに必要な管理強度と配置を説明できる。

保管、更新、訓練には費用がかかるが、使えない在庫を持ち続ける方が高い。演習で確認できた利用可能席数と復旧時間を継続して測り、業務変更、拠点変更、回線障害、OS期限に合わせて要件を直す。そうして初めて、予備端末は余剰資産ではなく、会社が危機を越えるための実証済み能力になる。